Por qué la seguridad de los datos es fundamental para el cumplimiento de la CCPA

La Ley de Privacidad del Consumidor de California de 2018 (CCPA) es una ley de privacidad que otorga a los consumidores y empleados en California derechos legales sobre cómo se recopilan, almacenan, venden y comparten sus datos. Esta ley es un hito significativo en los ámbitos de la privacidad de datos y la protección del consumidor en el país, que afecta directamente a los consumidores que residen en California.

La CCPA exige que las organizaciones respeten los derechos legales de los residentes de California para gestionar sus datos, otorgándoles un mayor control sobre su información personal.

Según la CCPA, los consumidores tienen derecho a saber qué datos personales se recopilan sobre ellos, con qué propósito se utilizan y con quién se comparten.

Los californianos también tienen derecho a solicitar la eliminación de sus datos, a optar por no vender su información personal y a recibir el mismo servicio y precio por parte de las empresas, incluso si ejercen sus derechos de privacidad.

La CCPA entró en vigor el 1 de enero de 2020 y desde entonces ha sido actualizada por la Ley de Derechos de Privacidad de California (CPRA). La enmienda y expansión de la CPRA, promulgada en enero de 2023, añadió nuevas disposiciones, una agencia dedicada a la aplicación, y una nueva categoría de datos de "información personal sensible".

Incumplimiento de la CCPA

Cuando se determina que las organizaciones no cumplen con la CCPA, pueden enfrentar fuertes multas, sanciones y daños a su reputación.

Según la CPRA, la Agencia de Protección de la Privacidad de California (anteriormente el fiscal general de California bajo la CCPA) puede multar con $2,500 por cada infracción a cualquier empresa que viole la CCPA, es decir, por cada persona cuyos datos se vean afectados. Esto aumenta a $7,500 por cada incidente de seguridad de datos que involucre información personal (PI) de menores o en casos de infracciones intencionales.

El incumplimiento de la CCPA también genera riesgos legales.

Según la CCPA, los consumidores tienen un derecho de acción privado cuando hay divulgación o robo de información personal sin cifrar o sin redactar. Aunque es relativamente limitado, esto aún significa que las personas pueden demandar a una empresa que permite que sus datos se expongan durante una violación de datos. Cabe señalar que el derecho de acción privado aplica específicamente a las violaciones de ciertos tipos de información personal sin cifrar y sin redactar debido a la falta de una empresa de mantener medidas de seguridad razonables.

Qué constituye información personal

La CCPA define la información personal como “información que identifica, se relaciona con, describe, es razonablemente capaz de asociarse o podría razonablemente vincularse, directa o indirectamente, con un consumidor o un hogar en particular.”

Las categorías de información personal incluyen:

• Identificadores como nombre, identificador personal único, identificador en línea, dirección IP, número de seguro social, número de licencia de conducir, número de pasaporte, etc.
• Información de registros de clientes como dirección, número de teléfono, número de póliza de seguro, historial laboral y número de cuenta bancaria
• Características de las clasificaciones protegidas bajo la ley de California o la ley federal
• Información comercial
• Información biométrica como el color de cabello, las huellas dactilares, los escaneos de retina
• Información sobre actividad en Internet u otras redes electrónicas, como el historial de navegación y de búsqueda
• Datos de geolocalización
• Información de audio, electrónica, visual, térmica, olfativa o similar
• Información profesional o relacionada con el empleo
• Información educativa
• Inferencias

Dada la amplia definición de información personal de la ley y los extensos derechos que otorga a los consumidores, las empresas deben adoptar un enfoque integral para la gestión de datos.

Deben asegurarse de contar con los procesos y sistemas para responder a las solicitudes de los consumidores, proteger la información personal y mantener registros detallados de las actividades de procesamiento de datos.

Determinación de tus obligaciones de cumplimiento de la CCPA

Cumplir con la CCPA es fundamental para las organizaciones en cualquier parte del mundo que cumplan con lo siguiente, no solo para las que tienen su sede en California o Estados Unidos:

• Tener trabajadores ubicados en California
• Proporcionar bienes o servicios a personas ubicadas en California o a residentes de California
• Interactuar con terceros que proporcionan datos sobre residentes de California
• Cualquier entidad con fines de lucro que tenga:
• Generó más de $25 millones en ingresos brutos anuales en el último año calendarioalgún texto
  • Recibió el 50% o más de sus ingresos anuales por la venta de la información personal de los consumidores
  • Compartió, vendió o compró la información personal de 100,000 hogares, consumidores o dispositivos con fines comerciales

Según el Estado de California, “en general, la CCPA no se aplica a organizaciones sin fines de lucro ni a agencias gubernamentales.”

El cumplimiento de la CCPA es un desafío global porque la ley se aplica a las empresas con fines de lucro sin importar su ubicación, siempre que vendan sus productos o servicios a residentes de California.

Cómo navegar los requisitos de la CCPA: lo que necesitas saber

Desglosemos los requisitos principales de la CCPA en términos de disposiciones sobre derechos del consumidor, medidas de protección de datos y obligaciones de notificación.

Disposiciones sobre derechos del consumidor

Según la CCPA, los residentes de California cuentan con varios derechos clave sobre su información personal (PI), que las empresas deben respetar:

1. Derecho a saber: Las empresas deben revelar la información personal que recopilan, los fines para los que se utiliza la información personal y si se utiliza para la venta de información personal o se comparte, cuando así lo solicite un consumidor. También tienen derecho a recibir una copia de toda la información personal recopilada sobre ellos en un formato que pueda enviarse a otro lugar.
2. Derecho a borrar: Los consumidores pueden enviar solicitudes a las empresas para que se elimine su información personal.
3. Derecho a optar por no participar: Los consumidores tienen el derecho de optar por no participar en la venta o el intercambio de su información personal por parte de las empresas. Para menores de 16 años, se requiere consentimiento afirmativo para vender su información personal. También tienen derecho a evitar la recopilación de datos a menos que sea para un propósito específico, es decir, datos que no sean "razonablemente necesarios y proporcionales".
4. Derecho a la no discriminación: Las empresas no pueden discriminar a los consumidores que ejerzan sus derechos bajo la CCPA negándoles bienes o servicios o cobrando precios diferentes.

A partir del 1 de enero de 2023, los consumidores tienen nuevos derechos además de los anteriores, como:

1. El derecho a corregir información personal inexacta que una empresa tenga sobre ellos; y
2. El derecho a limitar el uso y la divulgación de la información personal sensible recopilada sobre ellos.

Medidas de protección de datos

Las empresas deben implementar salvaguardas para asegurar y proteger los datos contra las filtraciones de datos. La CCPA define esta obligación como implementar "procedimientos y prácticas de seguridad razonables, adecuados a la naturaleza de la información personal, para proteger la información personal contra el acceso, la destrucción, el uso, la modificación o la divulgación no autorizados o ilegales."

Para las empresas que no saben por dónde empezar, el Marco de Ciberseguridad del NIST “ofrece una taxonomía de resultados de ciberseguridad de alto nivel que cualquier organización —sin importar su tamaño, sector o madurez— puede utilizar para comprender mejor, evaluar, priorizar y comunicar sus esfuerzos de ciberseguridad.”

Obligaciones de notificación

Las empresas sujetas a la CCPA tienen varias obligaciones de notificación o avisos de privacidad, que incluyen:

• Aviso al momento de la recopilación: En o antes del punto de recopilar información personal, las empresas deben proporcionar a los consumidores un aviso que explique las categorías de información personal que se recopilarán y los fines para los cuales se utilizará.

• Actualizaciones de la política de privacidad: Las empresas deben actualizar sus políticas de privacidad al menos una vez cada 12 meses, detallando la información requerida por la CCPA, como una descripción de los derechos de los consumidores y las categorías de información personal recopilada.

• Avisos de exclusión: Las empresas que venden información personal deben proporcionar un aviso claro y visible que informe a los consumidores sobre su derecho a excluirse de la venta de su información personal.

Cómo superar los desafíos comunes del cumplimiento de la CCPA

Exploremos algunos desafíos típicos que enfrentan las organizaciones para lograr el cumplimiento de la CCPA, especialmente en torno a la gestión del inventario de datos, el intercambio de datos con terceros y el mantenimiento de estándares de seguridad de la información.

Gestión del inventario de datos

Muchas organizaciones tienen un ecosistema de datos complejo y a gran escala. Por ello, les cuesta trabajo elaborar un inventario completo de todos los datos en su sistema, y más aún cuando pueden estar dispersos entre distintos departamentos, sistemas y soluciones de almacenamiento.

Las organizaciones pueden implementar herramientas y prácticas de mapeo de datos que identifiquen y clasifiquen la información personal para superar este desafío, junto con listas de verificación de cumplimiento, auditorías periódicas y actualizaciones del inventario de datos.

Uso compartido de datos con terceros

La CCPA exige que las organizaciones gestionen con cuidado la información personal que comparten con terceros, asegurándose de que esos terceros cumplan con las disposiciones de la CCPA. Sin embargo, cuando una organización trata con numerosos terceros, cada uno con sus propias prácticas de manejo de datos y seguridad, esto se vuelve aún más desafiante.

Las organizaciones deben realizar la debida diligencia sobre sus terceros para asegurarse de que cuenten con medidas adecuadas de privacidad y seguridad. Los contratos y acuerdos con terceros deben detallar explícitamente los requisitos de cumplimiento de la CCPA.

Las auditorías o evaluaciones periódicas también deben monitorear el cumplimiento de terceros, además de identificar las categorías de terceros para determinar los datos compartidos desde una perspectiva de divulgación.

Mantener los estándares de seguridad de datos

La CCPA exige que las empresas implementen medidas de seguridad razonables para proteger la información personal que recopilan. Sin embargo, las ciberamenazas y su constante evolución hacen que el cumplimiento de la CCPA sea un desafío continuo.

Las organizaciones pueden enfrentar este desafío implementando un programa integral de ciberseguridad que incluya evaluaciones de riesgos periódicas, programas de capacitación para empleados, planes de respuesta a incidentes y el despliegue de tecnologías de seguridad avanzadas.

Enfoques estratégicos para el cumplimiento de la CCPA

Para cumplir eficazmente con los requisitos de la CCPA (Ley de Privacidad del Consumidor de California), las organizaciones deben adoptar enfoques estratégicos que se centren en el descubrimiento, la clasificación y las prácticas de gobernanza de datos.

Descubrimiento integral de datos

Comprende la información personal que recopilas, almacenas y procesas mediante un exhaustivo proceso de descubrimiento de datos.

Aprovechar plataformas de seguridad de datos como Cyera puede agilizar y acelerar significativamente el proceso de descubrimiento de datos para decirte dónde se almacenan tus datos (tanto estructurados como no estructurados) y quién tiene acceso a ellos. Estas herramientas revelan datos ocultos de los que quizá aún no estés al tanto, a la vez que identifican riesgos en tiempo real.

Clasificación de datos

Clasifica los datos según su nivel de sensibilidad y su relevancia con respecto a las regulaciones de la CCPA. La clasificación de datos revoluciona la gestión de datos al ayudar a las organizaciones a comprender el valor y el riesgo asociados con su información. Plataformas específicas como Cyera cuentan con clasificación impulsada por IA que clasifica tus datos con precisión sin necesidad de ajustes manuales.

Implementación de marcos sólidos de gobernanza de datos

Los marcos de gobernanza de datos desempeñan un papel fundamental en el cumplimiento de la CCPA, ya que ayudan a organizar, proteger y estandarizar los datos en toda la organización. Establecen políticas y procedimientos claros para la gestión de datos, incluidos cómo se recopilan, almacenan, utilizan y comparten los datos.

Una gobernanza de datos efectiva garantiza que todas las prácticas de manejo de datos se alineen con las regulaciones de la CCPA y otras leyes pertinentes, mitigando así el riesgo de incumplimiento.

Aprovechar las plataformas de seguridad de datos para cumplir con la CCPA

Para cumplir con la CCPA, las organizaciones pueden aprovechar plataformas de seguridad de datos que ofrecen soluciones integrales para el descubrimiento automatizado de datos, la evaluación de riesgos y la protección de datos.

Inventario de información personal

Comprender el alcance y la naturaleza de la información personal (PI) que una organización recopila, procesa y almacena es uno de los pilares fundamentales de la CCPA.

Las plataformas de seguridad de datos facilitan esto al automatizar el proceso de descubrimiento de datos. Escanean los repositorios de datos de la organización en diversos entornos (IaaS/PaaS/SaaS y en las instalaciones) para identificar y clasificar la información personal y la información personal sensible relevante para la CCPA. Esta automatización ahorra tiempo y recursos significativos, aumenta la visibilidad de los datos y minimiza el riesgo de error humano o negligencia.

Evaluación de riesgos

Las plataformas de seguridad de datos ofrecen capacidades automatizadas de evaluación de riesgos que analizan las posibles vulnerabilidades y amenazas a la confidencialidad, integridad y disponibilidad de la información personal. Estas evaluaciones son cruciales para identificar y priorizar las áreas de alto riesgo que requieren atención inmediata y recomendar medidas de seguridad para mitigar los riesgos identificados.

Protección de datos 

Las plataformas de seguridad de datos ofrecen una variedad de capacidades de protección diseñadas para salvaguardar la información personal contra accesos no autorizados y amenazas cibernéticas, brindando visibilidad sobre medidas de seguridad críticas, como el cifrado, los controles de acceso, el enmascaramiento de datos, el hashing de datos y muchas otras funciones clave que ayudan a proteger la información sensible.

Cyera: Simplificando el cumplimiento de la CCPA para las organizaciones

Si eres una empresa cubierta por la CCPA, los consumidores tienen derecho a esperar que tú:

• Sepa dónde está su información personal
• Aplicar controles de seguridad adecuados a la información personal
• Responder a los derechos de privacidad del consumidor (p. ej., solicitud de acceso o eliminación)

Cyera te ayuda a responder estas preguntas para todos tus datos de forma automática y a escala. Cyera ayuda a las empresas a cumplir con los requisitos de la CCPA mediante:

• Inventariar toda la información personal conforme a las definiciones de la CCPA
• Clasificación eficiente de información personal e información personal sensible
• Señalar y alertar de inmediato sobre posibles riesgos de cumplimiento de privacidad

La plataforma de seguridad de datos de Cyera ofrece un contexto profundo sobre tus datos, lo que te permite aplicar los controles correctos para demostrar el cumplimiento de privacidad.

Garantizar el cumplimiento a largo plazo con la CCPA

Las prácticas continuas de gestión de datos y la monitorización del panorama regulatorio deben ser una prioridad principal para cualquier organización, a fin de garantizar el cumplimiento a largo plazo y adaptarse con rapidez a cualquier cambio o actualización.

Aprovechar plataformas de seguridad de datos como Cyera para habilitar una gestión de datos efectiva, realizar auditorías y evaluaciones periódicas, y aplicar políticas estrictas de gobernanza es crucial para mantener la transparencia y la rendición de cuentas.

Cuando esto se complementa con la capacitación continua de los empleados sobre los requisitos de la CCPA y las mejores prácticas de privacidad de datos, las organizaciones están en posición de fomentar una cultura de conciencia de la privacidad y cumplimiento.

Asegura tu camino hacia el cumplimiento de la CCPA con Cyera

El cumplimiento de la CCPA no es solo un requisito normativo, sino un componente esencial del compromiso de una organización con el respeto y la protección de los datos de los consumidores.

La plataforma de seguridad de datos de Cyera ofrece una vía para cumplir con los rigurosos requisitos de la CCPA, asegurando que tu organización pueda gestionar y proteger la información personal de forma eficaz y con confianza.

Para quienes buscan optimizar su cumplimiento con la CCPA y fortalecer su postura de seguridad de datos, descubran cómo Cyera puede reforzar sus esfuerzos de privacidad de datos y ayudarlos a lograr el cumplimiento de la CCPA.

Programa una demostración hoy.